Peering í Azure eða VPN VNet á VNet? Ákveddu fyrir leiðingu

Azure býður þér að minnsta kosti tvær leiðir til að tengja tvö sýndarnet, og þær eru ekki skiptanlegar stillingar á sama hlut. Peering tengir VNetin á hrygg Microsoft án gáttar; VPN VNet á VNet setur IPsec-samband milli tveggja gátta sem þú dreifir, stækkar og fylgist með. Ákvörðunin snýst um þrjú skilyrði, og ef þú getur ekki svarað öllum þremur áður en þú bætir við leið ertu að byggja krókleið fyrir líkan sem þú valdir aldrei.

Þrjú skilyrði sem ráða líkaninu

Það fyrsta er hvort eitthvað í kröfunni þurfi IPsec-mörk sem þú átt og getur bent á. Annað er hvort vistfangasvæðin séu hrein og VNetin tvö þurfi bara að tala saman. Þriðja er hver á sérhverja gegnumstreymisleið og reikninginn fyrir gáttina. Svaraðu í þeirri röð, því hið fyrsta getur útilokað peering sama hversu aðlaðandi hið annað virðist.

Sameiginlegt báðum líkönum er hörð vistfangsregla: vistfangasvæði VNet mega ekki skarast. Hvorki peering né VPN VNet á VNet er studd leið til að gera tvö eins svið ótvíræð, og skörun krefst vörpunarhönnunar eða endurhönnunar, ekki annars tegundar tengingar.

Skilyrði 1: þarftu IPsec-mörk sem þú átt?

Peering flytur umferð um einkanet hryggs Azure og krefst ekki VPN-gáttar fyrir sjálfa peered-tenginguna. Þetta er fullyrðing um flutning, ekki fullyrðing um dulkóðun sem þú getur afhent endurskoðanda sem «við keyrum IPsec». Ef krafan nefnir göng sem viðskiptavinur stillir, tiltekna IKE-stefnu eða mörk sem enda á búnaði sem þú stjórnar, uppfyllir peering það ekki, sama hversu einkarekið hryggurinn er.

VPN VNet á VNet veitir þessi mörk: tvær gáttir, IPsec/IKE-samband, sameiginlega lykla og allt rekstrarflötinn sem fylgir. Þú erfir stöðu gangsins, afkastagetu gáttarinnar, SKU-mörk og vöktunina sem sannar að gangurinn sé uppi. Það er rétta svarið þegar krafan snýst sérstaklega um þessi mörk, sem lýst er í yfirliti peering sem annarri tengingartegund en peering.

Vertu jafn varkár í hina áttina. «Við þurfum dulkóðun milli VNet» er oft fullnægt með eigin TLS vinnuálagsins, og þá er gátt kostnaður án kröfu að baki. Skrifaðu setninguna sem endurskoðandinn mun lesa áður en þú velur aðferðina.

Skilyrði 2: er skipulagið beint, eða þarf eitthvað að fara í gegn?

Peering er ekki gegnumstreymis. Tvö VNet sem eru peered í miðstöð eru ekki þar með tengd hvort við annað, og leið sem virðist virka í aðra áttina er yfirleitt peering sem náði Connected aðeins öðru megin. Báðar hliðar verða að vera til og báðar verða að sýna Connected, og það er það fyrsta sem þú athugar þegar umferð hverfur hljóðlega.

Ef krafan er að ná til staðbundins nets um miðstöð er gáttargegnumstreymi sér hönnun með tilteknum hlutverkum: miðstöðin á gáttina, peering spokesins leyfir gáttargegnumstreymi og spokesins verður að leyfa framsendri umferð. Þetta eru eiginleikar á peeringinu, ekki sjálfvirkar afleiðingar af því að tengja VNetin:

az network vnet peering create -g hub-rg -n hub-to-spoke1   --vnet-name hub-vnet --remote-vnet /subscriptions/SUB/resourceGroups/spoke-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet   --allow-vnet-access --allow-gateway-transit --allow-forwarded-traffic

az network vnet peering list -g hub-rg --vnet-name hub-vnet -o table
az network nic show-effective-route-table -g spoke-rg -n app-nic -o table

Virk leiðataflan er heiðarlegt svar við «er slóðin til?». Hún sýnir tegund næsta hypps sem pallurinn mun í raun nota, svo peering sem virðist stillt en er ekki tengt birtist sem leið sem vantar eða er röng, ekki sem ráðgáta.

Skilyrði 3: hver á gegnumstreymisleiðina og reikninginn?

Sérhver viðbótarhypp hefur eiganda. Með peeringi þýðir nýtt VNet nýtt peering-par báðum megin og, fyrir gegnumstreymi, miðstöð sem heldur áfram að senda umferð og leiðatöflu sem heldur áfram að benda á hana. Með VPN þýðir nýtt VNet aðra gátt eða aðra tengingu á þeirri sem fyrir er, með eigin afkastagetuþaki sem fylgjast þarf með.

Kostnaður fylgir sömu lögun en ekki sömu liðum: gjöld peering eru tenging og gagnasending, en VPN bætir við gáttarstundum og eigin sendingargjöldum. Berðu saman heildina fyrir það skipulag sem þú munt í raun reka í eitt ár, þar á meðal seinni göngin og vöktunina, ekki verð eitt tengingar í dag. Láttu vinnuna fylgja með sem enginn reikningsfærir: einhver verður að snúa lyklum, fylgjast með stöðu gangsins og svara viðvörun klukkan þrjú að nóttu þegar gátt endurræsist. Þessi liður ræður yfirleitt deilunni, því hann er sá eini sem kemur aldrei fram í tilboði.

Hvað sem þú velur, prófaðu þrjú flæði: hið fyrirhugaða, það sem er hafnað og á að vera hafnað, og endurheimtutilfellið þegar gátt miðstöðvarinnar eða peering er niðri. Líkan sem útskýrir aðeins góðu leiðina hefur ekki verið sannreynt, heldur sýnt.

Sannreyndu valið gegn eigin fullyrðingu

Skrifaðu eina setningu sem nefnir líkanið, mörkin og eigandann, og athugaðu svo að dreifða ástandið passi við hana. Fyrir peering þýðir það að báðar peering-stöður séu Connected, virka leiðin sýni næsta peering-hypp fyrir áfangastaðarforliðinn og engin gátt sé á leiðinni. Fyrir VPN VNet á VNet þýðir það að báðar tengingar séu Connected, lyklar og stefnur passi á báðum gáttum og leið þar sem næsti hyppur er sýndarnetsgáttin.

Ef athuganirnar stangast á við setninguna skaltu fyrst laga setninguna. Stærsti hluti ruglingsins í þessum hönnunum kemur frá blendingslausn sem enginn lýsti: peering fyrir undirnet vinnuálagsins, VPN fyrir eina arfborna þjónustu og leiðatafla sem kýs hljóðlega eina þeirra.